Антифрод 2.0: новые меры противодействия кибермошенничеству

Юридическая компания «Пепеляев Групп» информирует о принятии второго пакета мер противодействия кибермошенничеству. 

Принят Федеральный закон от 26.06.2026 № 210-ФЗФедеральный закон от 26.06.2026 № 210-ФЗ «О внесении изменений в Федеральный закон «О связи» и отдельные законодательные акты Российской Федерации», известный как «второй пакет мер противодействия кибермошенничеству» (далее – Закон). Ранее мы уже готовили детальный обзор на этапе публичного обсуждения первоначальной редакции законопроекта, однако в ходе нормотворческого процесса текст претерпел существенные изменения, в связи с чем представляем актуальный обзор нововведений.

Нововведения помогут защитить граждан от кибермошенников, но одновременно повлекут значительные финансовые издержки для бизнеса. Основное бремя ляжет на операторов связи и банковский сектор, дополнительные расходы понесут также компании и из других сфер (электронная коммерция, веб-хостинг).

В числе ключевых изменений: обязанность банков и операторов связи возмещать похищенные средства; создание базы данных IMEI, формирование которой возложено на операторов связи и госорганы; ужесточение правил работы виртуальных АТС; обязанность агрегаторов взаимодействовать с ГИС «Антифрод»; расширение перечня правомерных массовых вызовов; введение сертификатов безопасности Национального удостоверяющего центра. 

Отдельный блок поправок касается национальной платежной системы: усилено регулирование переводов без добровольного согласия клиента, введены новые обязанности операторов по переводу денежных средств, создана единая система учета платежных карт, расширены отдельные полномочия Банка России.

Закон начнет действовать со дня официального опубликования, но целый ряд положений вводится поэтапно – с 1 сентября 2026 г. до 1 января 2028 г. 

Ниже - ключевые нюансы поправок.

Меры противодействия мошенничеству, связанные с деятельностью операторов связи

Вступление в силу планируется 1 марта 2027 г.

1. Возмещение операторами связи средств, похищенных у физических лиц

Закон вводит принципиально новый механизм защиты жертв кибермошенничества. Оператор связи будет обязан возместить физическому лицу денежные средства, которые были списаны без согласия либо с согласия, данного под влиянием обмана или злоупотребления доверием.

Ответственность наступает при наличии причинно-следственной связи между бездействием оператора связи и совершенным хищением.  Например, если оператор не передал в ГИС «Антифрод» сведения о мошенническом номере, не приостановил оказание услуг по нему или не заблокировал вызов в момент его установления. 

В случае, если оператор связи откажет физическому лицу в возмещении, последний будет вправе потребовать его в судебном порядке.

Закон содержит большое количество условий, при которых возмещение станет возможным. ПодробнееУ оператора связи возникнет обязанность возместить похищенные средства в случае, если будет установлено следующее:
1) абонентский номер, с которого поступил мошеннический звонок и/или сообщение, указан в договоре с ОПДС в качестве средства связи;
2) причинно-следственная связь - совершение перевода мошенникам в результате вызова или СМС, поступивших с номера, имеющего признаки мошенничества; 
3) вина оператора связи – перевод стал возможен вследствие нарушения оператором связи одной или нескольких обязанностей: 
a) непередача в ГИС «Антифрод» сведений об абонентском номере жертвы;
b) неприостановка услуг связи или пропуска трафика по мошенническому номеру после получения сведений из ГИС «Антифрод»;
c) неприостановка пропуска трафика в свою сеть в момент установления вызова с мошеннического номера, если этот номер в данный момент соответствовал определенным критериям (будут установлены Правительством РФ позднее);
d) неприостановка оказания услуг связи по мошенническому номеру в момент внутрисетевого вызова на номер жертвы, если номер соответствовал определенным критериям (будут установлены Правительством РФ позднее);
4) ОПДС предприняты все необходимые действия в надлежащем порядке — ОПДС в полной мере исполнил требования чч. 3¹–3⁵, 3⁸–3¹¹ ст. 8 Закона о национальной платежной системе (Федеральный закон «О национальной платежной системе» от 27.06.2011 № 161-ФЗ.) в части проверки добровольности перевода;
5) на момент совершения перевода в базе данных ЦБ РФ о случаях и попытках переводов денежных средств без добровольного согласия клиента (ч. 5 ст. 27 Закона о национальной платежной системе) отсутствовала информация о случаях и попытках осуществления переводов с участием данного физического лица;
6) своевременное обращение — пострадавший направил обращение в ОПДС не позднее 10 рабочих дней с момента совершения перевода или получения уведомления о нем от банка;
7) наличие постановления о возбуждении уголовного дела — на момент осуществления возмещения у пострадавшего имеется постановление о возбуждении уголовного дела по факту хищения.

Комментарий «Пепеляев Групп»

Предложенный механизм возмещения содержит ряд положений, которые на практике могут существенно ограничить его реализацию. Во-первых, остается неясным, как физическое лицо сможет доказать в суде соблюдение всех условий, если оператор связи откажет в возмещении. Большая часть обстоятельств (например, факт передачи сведений в ГИС «Антифрод», своевременность блокировки вызова) относится к сфере контроля оператора и содержится в его внутренних системах. Во-вторых, условие о возбуждении уголовного дела вынуждает потерпевшего обращаться в правоохранительные органы. Иначе у него нет возможности обратиться в суд. 

Следует отметить, что существенная доля мошеннических вызовов совершается через мессенджеры. Однако обязанность по возмещению похищенных средств на сервисы обмена сообщениями не распространяется, что обусловливает неравные условия регулирования по сравнению с операторами связи.

2. Новые обязанности при взаимодействии с ГИС «Антифрод» 

Закон вводит для всех пользователей ГИС «Антифрод» (операторов связи, кредитных организаций и др.) новое требование: не только взаимодействие с системой, но и выявление признаков противоправных действий и передача этих сведений в систему. Перечень таких мер будет определен Правительством РФ по согласованию с ФСБ России. 

В рамках исполнения этого требования Закон установил для операторов связи следующие обязанности: 

• выявление «мошеннических» номеров — оператор обязан самостоятельно отслеживать абонентские номера с признаками противоправных действий и направлять информацию о них в ГИС «Антифрод»;
• выявление номеров жертв — аналогичная обязанность в отношении номеров, на которые поступают вызовы или сообщения с признаками мошенничества;
• приостановка оказания услуг связи для абонентов, использующих «мошеннический» номер;
• передача сведений в ГИС «Антифрод».

Правительство РФ установит перечень критериев, по которым будут выявляться «мошеннические» номера и номера жертв, перечень сведений, подлежащих передаче в ГИС «Антифрод», а также срок приостановки оказания услуг связи для абонентов с «мошенническими» номерами. Иностранные вызовы: маркировка и право на самозапрет.

В связи с участившимися случаями мошенничества с использованием иностранных номеров Закон устанавливает особые правила для входящих международных вызововПод иностранным вызовом понимается вызов, который будет совершаться с использованием иностранного ресурса нумерации и с сети связи иностранного оператора.:

• операторы связи будут обязаны маркировать иностранные вызовы. Правила маркировки установит Правительство РФ;
• закон предоставляет право физическим лицам установить самозапрет на пропуск вызовов с использованием иностранного ресурса нумерации и с сети связи иностранного оператора. Порядок установки и снятия самозапрета будет аналогичен порядку, предусмотренному для самозапрета на заключение договоров оказания услуг связи.

3. Детские SIM-карты

Закон предусматривает право физических лиц уведомить оператора связи в случае передачи абонентского номера членам семьи, не достигшим возраста 18 лет, а также указать возраст этого лица. Особенности оказания таких услуг будут определены Правительством РФ.

4. Запрет на расторжение договора оказания услуг связи в течение 90 дней после его заключения

Поправки вводят новое ограничение для абонентов – физических лиц: запрет на расторжение договора оказания услуг связи в течение 90 дней с момента выделения абонентского номера. 

Если абонент все же направит обращение о расторжении договора до истечения 90-дневного срока, оператор связи будет обязан приостановить оказание услуг связи и не взимать плату. 

5. Новые требования к виртуальным телефонным станциям (ВАТС)

В части использования ВАТС Закон устанавливает следующие требования: 

• обязанности операторов связи передавать сведения об абонентских номерах и о сетевых адресах ВАТС в ГИС КСИМГосударственная информационная система мониторинга исполнения операторами связи обязанностей при оказании услуг связи;
• запрет на оказание услуг связи с применением ВАТС для операторов связи. Указанное требование особенно актуально с учетом недавно опубликованного Проекта приказа Минцифры России, обязывающего к установке СОРМ при использовании ВАТСПроект приказа Минцифры России «Об утверждении Требований к применению оборудования систем коммутации при использовании виртуальных телефонных станций…» // ID проекта: 168689. 

6. Расширен перечень законных массовых вызовов без согласия абонента

В действующей редакции ст. 44.1-1 Закона о связиФедеральный закон «О связи» от 07.07.2003 № 126-ФЗ предусмотрен лишь один случай правомерных массовых вызовов в отсутствие согласия абонента: вызовы по инициативе государственных органов и подведомственных им организаций, органов местного самоуправления и подведомственных им организаций, а также иных органов и (или) организаций, перечень которых устанавливается Правительством РФ. 

К этому перечню планируется добавить следующие основания: 

• в целях информирования абонента, если такая обязанность установлена законодательством РФ. Заказчик массовых вызовов обязан будет сообщать абонентам об их правомерности в силу закона;
• по инициативе кредитных организаций в целях информирования абонента на основании договора с этой организацией, если право информирования предусмотрено законодательством РФ. Заказчик массовых вызовов обязан будет сообщать абонентам об их правомерности в силу договора.

7. Создание базы данных IMEI

Закон предусматривает образование базы данных идентификаторов пользовательского (оконечного) оборудования (IMEI), которая будет содержать сведения о запрещенных и разрешенных на территории РФ устройствах.

Сведения об IMEI будут вноситься в базу операторами связи, а также госорганами, список которых утвердит Правительство РФ.

Правила функционирования базы данных IMEI и ее оператора утвердит Правительство РФ. Порядок взаимодействия операторов связи и оператора базы данных IMEI будет утвержден Минцифры России. 

8. Обязанность операторов связи расторгнуть договоры с иностранными абонентами, если не проведены проверочные мероприятия

С 8 августа 2024 г. и до 1 июля 2025 г.  на операторов связи была возложена обязанность по проверке иностранных лиц и лиц без гражданства на предмет выполнения требований, предусмотренных ст. 44 и 45.1 Закона о связи (например, в части количества абонентских номеров, присутствия IMEI в договоре с оператором и др.) Обязанность введена ч. 7 ст. 5 Федерального закона от 08.08.2024 № 303-ФЗ «О внесении изменений в Федеральный закон «О связи» и отдельные законодательные акты Российской Федерации». При непроведении указанных мероприятий оператор связи обязан был прекратить оказание услуг связи. Закон, в свою очередь, вводит обязанность расторгнуть такие договоры, а не прекратить оказание услуг связи. 

Поправка вступит в силу с момента официального опубликования Закона.

9. Неисполнение оператором своих обязанностей как основание прекращения оказания услуг связи

Поправки изменяют основания для прекращения оказания услуг связи по запросу органов оперативно-разыскной деятельности или предписанию Роскомнадзора. Вместо прежней нормы, предусмотренной абз. 9 п. 1 ст. 46 Закона о связи и привязанной к ликвидации абонента-юрлица или ИП, вводится более широкое основание — неисполнение оператором своих обязанностей, предусмотренных законом и правилами оказания услуг связи. При этом оператор обязан прекратить оказание услуг уже на следующий день после поступления соответствующего запроса или предписания.

Меры противодействия мошенничеству, связанные с деятельностью кредитных организаций 

1. Новые источники сведений для проверки операций

ОПДС при проверке признаков осуществления перевода денежных средств без добровольного согласия клиента будут использовать сведения из ГИС «Антифрод».

ОПДС также будут передавать в ГИС «Антифрод» сведения об абонентских номерах, используемых при обслуживании клиента, а в Банк России сведения о клиентах и (или) об их электронных средствах платежа для формирования базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента (далее - база данных).

Банк России будет передавать сведения из базы данных в ГИС «Антифрод». Сведения в базе данных будут храниться один год при первом включении и три года при повторном включении. Для абонентских номеров подвижной радиотелефонной связи установлен срок 180 дней. При прекращении уголовного преследования сведения о клиенте и (или) его электронном средстве платежа будут исключаться досрочно.

Вступление поправки в силу планируется 1 марта 2027 г.

2. Средства защиты информации и отказ в операции

ОПДС будет обязан применять средства защиты информации от воздействия вредоносного ПО в отношении своего ПО, используемого клиентом физическим лицом для переводов, включая мобильное приложение и официальный сайт.

Средства защиты должны пройти оценку соответствия требованиям законодательства РФ в области обеспечения безопасности и выявлять воздействие вредоносного ПО до списания денежных средств клиента.

Клиенту-физлицу должна быть предоставлена возможность использовать такие средства защиты на пользовательском оборудовании при наличии его согласия. До 1 сентября 2027 г. ОПДС должен внести соответствующие положения в договоры с клиентами-физлицами и запросить у них согласие на подключение средств защиты либо отказ от такого согласия.

Информация о воздействии вредоносного ПО и сведения из ГИС «Антифрод» включаются в перечень информации, используемой для выявления операций, соответствующих признакам перевода денежных средств без добровольного согласия клиента.

При наличии информации о воздействии ПО ОПДС отказывает в приеме к исполнению распоряжения клиента или в совершении операции с использованием платежных карт, перевода электронных денежных средств либо перевода через сервис быстрых платежей платежной системы Банка России, если операция совершается с использованием соответствующего пользовательского оборудования. Клиент уведомляется о причинах отказа и возможности совершить перевод с другого оборудования либо при личном присутствии у оператора.

Вступление поправки в силу планируется 1 марта 2027 г.

3. Шестичасовая пауза и возмещение клиенту

При подтверждении клиентом электронного распоряжения или совершении действий по повторной операции ОПДС вправе в течение шести часов не принимать распоряжение к исполнению, отказать в повторной операции или не совершать последующие повторные операции.

По истечении шести часов ОПДС обязан принять распоряжение к исполнению или совершить последующую повторную операцию, если нет иных законных оснований для отказа. Обращаем внимание, что данное правило применяется, если иное не предусмотрено ч. 3.10 ст. 8 Закона о национальной платежной системе.

ОПДС, обслуживающий плательщика, будет обязан возместить клиенту-физлицу сумму перевода или операции, совершенных без добровольного согласия клиента, если ОПДС после получения сведений из ГИС «Антифрод» исполнил распоряжение или совершил операцию с нарушением установленных требований. Отдельное основание для возмещения – неисполнение обязанности отказать в операции при наличии информации о воздействии вредоносного ПО.

Возмещение осуществляется не позднее 30 дней после обращения клиента при наличии постановления о возбуждении уголовного дела по факту хищения денежных средств.

Вступление поправки в силу планируется 1 марта 2027 г.

4. Операции, связанные с телефонными вызовами и короткими текстовыми сообщениями

Для переводов и операций без добровольного согласия клиента физического лица, совершенных в результате телефонных вызовов и (или) коротких текстовых сообщений, вводится специальный порядок обращения.

Клиент вправе направить обращение о возмещении не позднее 10 рабочих дней со дня операции либо со дня получения уведомления ОПДС. Если ОПДС надлежащим образом исполнил установленные требования, и в ГИС «Антифрод» отсутствуют предусмотренные законом сведения, обращение направляется оператору связи.

В иных случаях ОПДС взаимодействует с клиентом по правилам о возмещении и не вправе отказать только из-за пропуска 10-дневного срока.

Вступление поправки в силу планируется 1 марта 2027 г.

5. Операции с цифровыми рублями

Оператор платформы цифрового рубля получает право отказать в совершении операции с цифровыми рублями при наличии информации, содержащейся в базе данных.

При этом из регулирования операций с цифровыми рублями исключается привязка к признакам осуществления перевода денежных средств без добровольного согласия клиента, установленным Банком России.

Вступление поправки в силу планируется 1 марта 2027 г.

6. Платежные карты, единая система их учета и банковская тайна

С 1 марта 2027 г. уточняется регулирование электронных средств платежа: их виды, условия предоставления и распространения, порядок операций, документы по операциям и требования к внутрибанковским правилам будут устанавливаться нормативным актом Банка России.

С 1 сентября 2027 г. клиенту - физическому лицу может быть предоставлено в совокупности не более двадцати платежных карт, с использованием которых осуществляются переводы денежных средств. Совет директоров Банка России сможет установить превышающее это ограничение количество карт. До предоставления карты ОПДС должен запросить сведения в единой системе учета платежных карт. При превышении лимита оператор обязан отказать в предоставлении карты.

С 1 сентября 2026 г. создается единая система учета платежных карт. Ее оператором является оператор национальной системы платежных карт, пользователями – Банк России и ОПДС. Система содержит сведения о номерах и видах карт, ИНН клиентов физических лиц и количестве карт, предоставленных клиенту. С этой же даты ОПДС, включая кредитные организации и филиалы иностранных банков, являющихся ОПДС, передают в систему сведения о предоставленных и прекращенных платежных картах, видах таких карт и полученных ИНН клиентов.

Банк России вправе получать информацию из системы. Оператор системы не вправе разглашать третьим лицам сведения, содержащие банковскую тайну, и несет ответственность за их разглашение, включая возмещение ущерба.

7. Надзорные полномочия Банка России

Банк России сможет получать от кредитной организации информацию и документы о реализации мероприятий по противодействию осуществлению переводов денежных средств без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием.

Такие информация и документы включаются в перечень сведений, которые Банк России вправе запрашивать в рамках надзорных полномочий в отношении кредитных организаций.

Вступление поправки в силу планируется 1 марта 2027 г.

Иные меры противодействия мошенничеству

1. Обязанность владельцев агрегаторов присоединиться к ГИС «Антифрод»

Закон обязывает владельцев посреднических онлайн-платформ осуществлять взаимодействие с ГИС «Антифрод». Порядок и условия взаимодействия будут определены Правительством РФ. 

Вступление поправки в силу планируется 1 марта 2027 г.

2. Право подать обращение в ГИС об акте мошенничества

Физическое лицо, в отношении которого были совершены противоправные действия, вправе самостоятельно направить информацию об этом в ГИС «Антифрод» через «Госуслуги». Порядок использования такой информации будет установлен Правительством РФ по согласованию с ФСБ.

Вступление поправки в силу планируется 1 марта 2027 г.

3. Ограничение оборота радиоэлектронных средств иностранных спутниковых систем связи

На данный момент п. 3 ст. 71 Закона о связи запрещает ввоз в РФ радиоэлектронных средств, предназначенных для передачи и (или) приема радиоволн от космических объектов связи (спутников связи, в том числе двойного назначения) иностранных государств, не имеющих решения ГКРЧ о выделении полос радиочастот. В развитие этого ограничения Закон вводит запрет на продажу таких средств и распространение информации, содержащей предложение об их продаже. В частности, речь идет о спутниковых терминалах Starlink и иных подобных средствах. В случае появления предложений они будут включены в реестр запрещенной информации, предусмотренный ст. 15.1 Закона об информации. 

Вступление поправки в силу планируется 1 марта 2027 г.

4. Запрет на хостинг для владельцев заблокированных ресурсов

Законом устанавливается запрет для провайдеров хостинга на предоставление услуг владельцам сайтов, информационных систем и программ, посредством которых обеспечивается доступ к ресурсам, заблокированным на территории России.

Поправка вступает в силу с момента официального опубликования Закона.

5. Ограничение доступа к информации, направленной на распространение вредоносного ПО

Законом в перечень информации, доступ к которой ограничен, включаются сведения, позволяющие установить ПО, предназначенные для неправомерного доступа к информации, её уничтожения, модифицирования, блокирования, копирования, предоставления или распространения, а также предложения о приобретении таких программ.

Поправка вступает в силу с момента официального опубликования Закона.

6. Идентификация пользователей мессенджеров через абонентский номер

Организации-операторы многофункциональных сервисов обмена информацией будут вправе идентифицировать пользователей по абонентскому номеру с использованием ГИС КСИМ. Порядок идентификации определит Правительство РФ.

Вступление поправки в силу планируется 1 марта 2027 г.

7. Сертификаты безопасности национального удостоверяющего центра (НУЦ)

Закон вводит категорию новых сертификатов - сертификатов безопасности НУЦ. Они будут использоваться: 

• с целью обеспечения устойчивого и защищенного взаимодействия с информационными системами, сайтами и для их аутентификации;
• для подтверждения целостности и подлинности российского происхождения ПО из реестра ПО;
• для аутентификации и защиты участников электронного взаимодействия корпоративной информационной системы.

Определены категории сертификатов. Их разделение обусловлено целью использования. Выделяются различные сертификаты безопасности в зависимости от содержащихся в них сведений:

• об информационной системе, сайте;
• о владении информационной системой, сайтом;
• о разработчике ПО из реестра ПО;
• об участниках электронного взаимодействия в корпоративной информационной системе;

а также сертификат безопасности, предназначенный для создания всех остальных сертификатов.

Использование сертификатов безопасности будет обязательным для лицензиатов в сфере шифровальных средств, используемых для доступа к информации на сайтах; разработчиков российского ПО из утверждаемого Правительством РФ перечня; организаций и органов государственной власти, осуществляющих электронное взаимодействие с физлицами и организациями в соответствии с ч. 2(3) ст. 13 Закона об информации. Правительство РФ вправе установить иные случаи обязательного использования сертификатов.

Закон также внедряет два новых понятия: ключ идентификации и ключ аутентификации, которые предназначены для получения сертификата безопасности. НУЦ обязан отказать в выдаче сертификата, если заявитель не подтвердил владение ключом идентификации или ключ аутентификации не является уникальным.

Вступление поправки в силу планируется 1 марта 2027 г.

О чем подумать, что сделать

Организациям следует определить, какие из вводимых норм затрагивают их деятельность, и оценить масштаб необходимых доработок. 

Операторам связи и кредитным организациям стоит уделить особое внимание принятому Закону — на них ложится основная нагрузка: формирование базы IMEI, интеграция с ГИС «Антифрод», новые процедуры проверки переводов, лимиты по картам и защита приложений от вредоносного ПО. 

Владельцам агрегаторов необходимо заранее проработать вопрос подключения к ГИС «Антифрод», разработчикам ПО из утверждаемого перечня и лицензиатам в сфере шифровальных средств важно заранее выяснить все процедурные аспекты получения сертификатов безопасности НУЦ.

С учетом поэтапного вступления поправок в силу целесообразно начать подготовку уже сейчас: создать или скорректировать внутренние комплаенс-процедуры, назначить ответственных и заложить бюджет на доработку ИТ-инфраструктуры. 

Рекомендуем внимательно следить за нормотворческой деятельностью Правительства РФ и профильных регуляторов, а при возможности — участвовать в обсуждениях проектов, поскольку детали реализации новых обязанностей будут конкретизированы на уровне подзаконных актов.

Помощь консультанта

Специалисты «Пепеляев Групп» обладают значительным опытом в сфере консультирования операторов связи, кредитных и иных организаций по правовым вопросам. 

Мы готовы оказать всестороннюю юридическую поддержку организациям при:

• определении рисков ввиду принятого Закона;
• подготовке правовых позиций по спорным вопросам, возникающим вследствие принятия Закона;
• разработке внутренних регламентов и процедур, необходимых для соблюдения положений принятого закона;
• представлении интересов в целях взаимодействия с государственными органами.